Kleine Geräte, grosses Risiko

Kaum bemerkt von der Öffentlichkeit hat sich die geopolitische Lage der Cyber­security beim Internet of Things, IoT, in den letzten Monaten gravierend verschärft. Lange galt die still­schwei­gende Annahme, dass inter­national vor offenen Cyber­angriffen auf Infra­strukturen durch staatliche Akteure und als Mittel zur Verfolgung strategischer und militärischer Ziele weitest­gehend zurück­geschreckt wird.

Diese Annahme wird mit einem Blick auf den Hintergrund insbeson­dere des Zusammen­spiels von inter­natio­nalem Kriegsrecht, militärischer Strategie und Cyber­security besser verständlich. Das Aufkommen von Computern und deren integrale Vernetzung in die Gesellschaft haben es technisch möglich gemacht, über Grenzen hinweg zu handeln, ohne sie physisch überschreiten zu müssen. Technische Mittel ermöglichen es auch, geografische Spuren von Computer­aktivitäten zu verschleiern oder gar falsche Spuren zu legen. Damit ist die sichere Zuordnung von Akteuren schwierig bis unmöglich. Dies ist in der klassischen Kriegsführung, dem kinetischen Krieg, anders: Ein Panzer, der eine Landesgrenze überschreitet, ist klar als solcher erkennbar, und ebenso ist die Überschreitung einer Grenze als solche genau definiert. In der Regel ist es auch rasch erkennbar, wem dieser Panzer gehört und an wen allfällige Gegen­mass­nahmen zu richten sind. Im Cyberraum ist diese Zuordnung schwierig.

Als Kernfrage galt lange, ob Cyber­aktivi­täten physische Schäden bis hin zu Fatalitäten hervorrufen können. Das Überschreiten dieser Schwelle aktiviert, vereinfacht gesagt, im internationalen Kriegsrecht die Möglichkeit zur Verteidigung und den Bündnisfall nach Artikel 5 der Nato.

Ein globales Phänomen

Fehlfunktionen von computer­gestützten Sensor- und Aktor­kompo­nenten können massive bis fatale Konse­quenzen haben. Dies betrifft IoT-Systeme ebenso wie Betriebstechnik, die sogenannte operational technology (OT), die durch nachgerüstete Kommuni­kations­vernetzung eher ungeplant Teil der IoT-Landschaft wurde. Global demons­trieren gerade in den letzten Jahren Angriffe auf Wasser­versor­gungen, Kranken­häuser, Pipelines, Industrie­anlagen, Kameras und andere Systeme das Schadenspotenzial, das vom Verlust persönlicher und sensitiver Daten bis hin zu ökono­mischen Schäden und Fatalitäten reicht.

2010 stellte ein gezielt auf spezifische OT-Systeme entwickelter Computer­wurm einen ersten Wendepunkt dar. Mit grossem Aufwand eingeschleust, führte die Schadsoftware Stuxnet in iranischen Nuklear­anreiche­rungs­anlagen zu fehlerhaften Betriebsanzeigen in Über­wachungs­systemen, einer Übersteuerung von Prozess­geschwindig­keiten und schliesslich zur Zerstörung der Zentrifugen.

Im Jahr 2022 hat die Nato Cyber­aktivitäten als möglichen Grund zum Aktivieren eines Verteidi­gungs­falles nach Artikel 5 genannt und konstatiert, dass auch Aktivitäten unterhalb der klassischen kinetischen Schwelle in ihrer Summe als Auslöser gelten können [1]. Dabei werden die oben genannten typischen Grauzonen wie etwa die jeweilige Zuordnung von Akteuren als solche behandelt und von Fall zu Fall beleuchtet. Trotzdem bleibt der Umgang mit Cyberaktivitäten im inter­natio­nalen Raum eine Herausforderung.

Tatsächlich steht der aktuelle Stand der IoT-Cyber­security in starkem Kontrast zu dieser Ausgangslage. Mit frei verfügbaren hochentwickelten Scan-Tools, zunehmend unterstützt durch künstliche Intelligenz, werden unsichere Geräte und Schwachstellen identifiziert. Ungeschützte Systeme sind ideale Eintrittspforten in nachgelagerte Zielsysteme wie IT-Infrastrukturen oder Sensorik und Aktorik und ermöglichen Ransom­ware-Erpres­sungen, Datenabflüsse, Krypto­mining, DDOS-Attacken oder Sabotage.

Gleichzeitig sind unsichere oder gar fehlende Passwörter und offene Ports die Haupt­eintritts­pforten in IoT-Systeme, und ein beachtlicher Teil der eingesetzten IoT-Schadsoftware basiert auf lange bekannter Malware wie Mirai [2].

Auch die Haupt­angriffs­ziele sind seit Jahren unverändert Internet-Router und Kameras. Dennoch werden diese Objekte immer noch weitgehend oder komplett ohne verstärkte Sicherheits­mass­nahmen und -instruk­tionen ausgeliefert. Die jüngste Meldung des Unter­nehmens Dreamlab, das über 100’000 ungesicherte Schweizer Router identifizierte, ist nur ein Beispiel [3].

Diesen paradoxen Umgang mit dem IoT zeigte ebenso eine Umfrage des Rogers Cyber­secure Catalyst Fellowship Program der Toronto Metropolitan University. Hier waren sich Computer-Sicherheits­experten mit gewöhnlichen Nutzern einig: Ja, das IoT ist unsicher und wird es vermutlich bleiben, trotzdem wird es, auch persönlich, in den sensibelsten Bereichen eingesetzt [4].

Der unterentwickelte Zustand der IoT-Cyber­security steht in starkem Kontrast zum Entwick­lungs­stand des IoT. Zu Generationen von Routern, Druckern und Kameras gesellen sich Smart-Home-Geräte genauso wie Schwärme von RoboBees, also künstlicher Bienen (Einstiegsbild). Der Einsatz der Künstlichen Intelligenz auf IoT-Geräten und die Eignung von Ver­schlüs­selungs­methoden für das beginnende Zeitalter des Quantum­computings sind bereits jetzt Kriterien in Beschaffungsprozessen.

Der widersprüchliche Stand der IoT-Cyber­security

Der Siegeszug digitaler Technologien in allen Ebenen der Gesellschaft hat zuvor bestehende klare Einteilungen verschoben. Dies ist nur wenigen Anwendern bewusst. Für Cyber-Angreifer aller Art ist dies praktisch: Mit der weiten und unregulierten Verbreitung von IoT-Geräten steht eine riesige Angriffsfläche bereit, die weitestgehend von ahnungs­losen Nutzern betrieben wird. Nutzer, die den Schutz ihrer Geräte verbessern oder gar nur beurteilen wollen, stehen vor einer schwierigen Aufgabe. Oft kennen nicht einmal die Anbieter alle relevanten Informa­tionen, wie etwa Datenflüsse oder Fernzugriffe, im Detail. Zudem erschweren fehlende Standards eine Bewertung: Wie sicher ist ein Produkt nun im Vergleich? Ist es sicher genug? Wie genau ist sicher definiert und braucht es die gleiche Definition für verschiedene Zwecke?

Für IoT-Hersteller ist eine höhere Sicherheit ein Dilemma. Solange sie für Kunden mangels spezifischer Standards weder prüf- noch vergleichbar ist, resultiert bei womöglich höheren Kosten allenfalls nur ein kompli­zierter zu bedienendes Produkt. Aus Wett­bewerbs­sicht werden Anbieter ohne verbindliche und einheitliche Regulierung kaum motiviert, Geräte sicherer zu machen.

Die Gesetzesgebung greift die Thematik zunehmend auf. Verschiedene Gesetze, Standards und Richtlinien sind inzwischen in Kraft getreten oder in der Vernehmlassung. Eines der weit­reichend­sten Gesetze ist der in diesem Jahr erwartete Cyber Resilience Act der EU, der klassische IT- ebenso wie IoT- und OT-Geräte abdeckt. Mit einer Über­gangszeit von drei Jahren wird dieses Gesetz die IoT-Produkt­landschaft beträchtlich verändern und Hersteller wie Anbieter in die Pflicht nehmen. In der Schweiz stehen allgemein mit dem neuen Infor­mations­sicher­heits­gesetz (ISG) zunächst Ein­rich­tungen des Bundes und kritische Infrastrukturen im Fokus. Implikationen von Anforderungen des Daten­schutzes an IoT-Systeme, wie in der Schweiz beim total revidierten Daten­schutz­gesetz (DSG), das ohne Über­gangsfrist seit 2023 gilt, werden dabei oft übersehen. Gerade IoT-Geräte mit ihrem häufig globalisierten Datenfluss, geringem Sicherheitsniveau und ihrer oft niedrigen Sichtbarkeit im Netzwerk benötigen hier besondere Aufmerksamkeit. Nicht immer ist die eingesetzte Technologie allen Beteiligten in vollem Umfang bewusst.

Unterschiedliche Defini­tionen erschweren die Standar­disierung

Weltweit unterscheiden sich die gesetzlichen Lösungs­ansätze deutlich. Allein die Definition regulierter Geräte reicht von hochgradig detaillierten Kompo­nenten­beschrei­bungen in eng umrissenen Anwen­dungs­fällen bis zu techno­logie­unab­hängigen Anforde­rungen an Handlungen rund um Informa­tionen. So wäre nach beiden Definitionen im neben­stehenden Bild ein Smart Meter ein IoT-Gerät. Ein Laptop würde unter die allgemeine Definition fallen, ein Smartphone unter beide – einige IoT-Cyber­security-Richtlinien schliessen diese Geräte jedoch explizit aus, obwohl mindestens Smartphones dank Sensorik und Betriebssystem sowohl klassische IT- als auch IoT-Geräte sind.

Während der detaillierte Ansatz den Vorteil der Über­prüf­barkeit bietet, beschränkt er zugleich die Reichweite der Sicherheits­standards und ist kaum wirksam. Im anderen Ansatz erschwert die fehlende Schärfe die Über­prüf­barkeit, aber auch die Anleitung zur Umsetzung. Betreiber stehen vor Unklar­heiten und dem Risiko, es allenfalls darauf ankommen lassen zu müssen. Im Falle eines Schadens ist dann die Frage, wie sich ein nicht definiertes oder technisch nicht realisierbares Sicherheits­niveau bewerten lässt – reicht es, dass alle gleich unsicher sind? Müssen unsichere Systeme aus dem Betrieb genommen werden, und falls ja, nach welchen Kriterien? Hier zeigt sich die Heraus­forderung, die Realitäten aus Legislative, Forschung und Praxis rechtzeitig miteinander in einen Dialog zu bringen.

Insgesamt entwickelt sich die IoT-Cyber­security zunehmend als Wirtschafts-, Wettbewerbs- und Standortfaktor. Für Unter­nehmer werden Haftungs­fragen, aber auch die Erhaltung der Wett­bewerbs­fähigkeit und die betriebliche Zuverlässigkeit des Standortes angesichts steigender Cyberangriffe relevant. Für Hersteller von IoT-Produkten zeichnet sich ab, dass international vermehrt Sicherheit eingefordert wird.

Aktuell gilt als Richt­annahme, dass ein IoT-System vermutlich unsicher und ebenso wahr­scheinlich bereits oder bald gehackt ist. Obwohl die Heraus­forderungen IoT-spezifischer Cyber­security noch beträchtlich sind, zeigen die jüngsten Entwicklungen, dass die IoT-Sicherheit langsam erwachsen wird. Entsprechend heisst es, Sicher­heits­haus­aufgaben zügig umzusetzen, die aktuell hoch­dyna­mischen Entwick­lungen aufmerksam zu verfolgen, und auch für den Fall eines Ausfalls von IoT-Geräten vorbereitet zu sein. Frei nach dem bekannten Rat: Klüger dran, Notfallplan.